Autoritatea norvegiană pentru protecția datelor a amendat Xandr, deținută de Microsoft, cu aproximativ 8,5 milioane € pentru modul în care a gestionat datele personale ale utilizatorilor Grindr, inclusiv informații sensibile despre orientarea sexuală. Amenda Xandr Grindr privind datele este notabilă deoarece vizează o companie situată mai departe în lanțul publicitar, nu doar aplicația care a colectat datele inițial.

Rezumatul pe care îl avem al deciziei este scurt, așa că această postare se limitează la ceea ce este confirmat și explică contextul mai larg pentru cititori.

Pentru ce a amendat autoritatea norvegiană Xandr

Conform relatărilor, penalitatea de aproximativ 8,5 milioane € se referă la modul în care Xandr, o afacere publicitară deținută de Microsoft, a gestionat datele personale ale utilizatorilor Grindr. Acele date includeau informații sensibile despre orientarea sexuală.

Nu este prima dată când practicile de date ale Grindr atrag atenția Norvegiei. Autoritatea țării pentru protecția datelor a amendat anterior Grindr însăși cu 65 de milioane de coroane norvegiene (aproximativ 5,5 milioane €) pentru încălcarea Articolului 9 din GDPR, care restricționează prelucrarea categoriilor speciale de date personale. Acea amendă a fost ulterior confirmată de Curtea de Apel Borgarting. Noua acțiune împotriva Xandr extinde atenția de la aplicație la o companie care a gestionat datele în aval.

Cum ajung datele sensibile din aplicații pe platformele publicitare

Majoritatea aplicațiilor gratuite câștigă bani prin publicitate. Pentru a afișa reclame relevante, o aplicație poate transmite informații despre un utilizator, cum ar fi un identificator de dispozitiv, locația aproximativă sau detalii de profil, partenerilor publicitari. Acești parteneri pot include burse publicitare și platforme care potrivesc reclamele cu publicul țintă, adesea în câteva milisecunde de la deschiderea unei aplicații.

Problema apare atunci când informațiile implicate sunt sensibile. Conform GDPR, datele care dezvăluie orientarea sexuală aparțin unei categorii protejate. Simplul fapt de a fi utilizator al anumitor aplicații poate dezvălui ceva sensibil. Odată ce acel semnal intră într-un flux de ad-tech, poate fi copiat, combinat cu alți identificatori și transmis între mai multe companii, ceea ce face dificil pentru utilizatori să știe unde a ajuns sau să îl retragă.

De aceea, autoritățile de reglementare analizează întregul lanț. O companie care primește sau prelucrează astfel de date își asumă propriile responsabilități legale, chiar dacă nu ea a fost cea care le-a colectat inițial.

Ce înseamnă aplicarea GDPR pentru utilizatori

Amenda este un semnal că autoritățile europene de reglementare sunt dispuse să urmărească companiile din întregul ecosistem publicitar, inclusiv pe cele deținute de marile grupuri tehnologice. Pentru utilizatori, există câteva concluzii practice.

  • Datele din categorii speciale au reguli mai stricte. Informațiile despre orientarea sexuală, sănătate, religie și subiecte similare, în general, nu pot fi prelucrate fără o bază legală validă conform GDPR.
  • Aplicarea poate fi lentă. Cazul Grindr anterior a trecut printr-o amendă, un apel și o hotărâre judecătorească. Acțiunea de reglementare nu anulează expunerea care a avut deja loc.
  • Amenzile nu sunt același lucru cu remediile. O penalitate sancționează o companie, dar indivizii trebuie în continuare să-și gestioneze propria expunere pe viitor.

Companiile de această dimensiune dețin, de asemenea, volume mari de date în alte contexte, iar incidentele de securitate din altă parte a ecosistemului sunt o reamintire că datele deținute centralizat sunt o țintă. De exemplu, am relatat despre un vânător de bug-uri adolescent care ar fi obținut acces la nivel de administrator la serviciul intern de analiză Titan al Microsoft și despre afirmațiile că baze de date ale angajaților au fost furate din infrastructura Microsoft Azure. Acestea sunt aspecte separate de decizia Xandr, dar ilustrează de ce limitarea a ceea ce partajezi de la început contează.

Ce înseamnă asta pentru tine

Nu poți vedea care parteneri publicitari primesc date de la o aplicație, așa că abordarea cea mai fiabilă este să reduci ceea ce aplicația poate trimite. Iată de unde să începi:

  • Verifică permisiunile aplicațiilor. Verifică permisiunile de locație, contacte, fotografii și urmărire de pe telefon. Revocă orice nu este clar necesar pentru o aplicație.
  • Resetează sau dezactivează ID-ul tău de publicitate. Atât Android, cât și iOS îți permit să ștergi sau să resetezi identificatorul de publicitate sau să limitezi urmărirea reclamelor, ceea ce face mai dificil pentru platformele publicitare să coreleze activitatea între aplicații.
  • Uită-te la setările de confidențialitate din aplicație. Multe aplicații includ comutatoare pentru reclame personalizate sau partajarea datelor cu partenerii. Dezactivează tot ce poți.
  • Fii selectiv cu detaliile sensibile de profil. Dacă o aplicație cere informații pe care nu ai vrea să le partajezi, ia în considerare să le lași necompletate.
  • Șterge conturile pe care nu le mai folosești. Conturile inactive pot deține în continuare date.

Unde se potrivește un VPN

Un VPN poate masca adresa ta IP și poate cripta traficul între dispozitiv și serverul VPN, ceea ce este util pe Wi-Fi public și pentru a limita ceea ce vede furnizorul tău de internet. Dar nu împiedică o aplicație să trimită datele pe care i le-ai dat, cum ar fi detaliile de profil sau un ID de publicitate, partenerilor săi. Tratează un VPN ca pe un strat parțial, nu ca pe o soluție pentru partajarea datelor din aplicații.

Concluzii cheie

Amenda Xandr Grindr privind datele arată că autoritățile de reglementare privesc dincolo de aplicațiile care colectează informații sensibile, către companiile de ad-tech care le prelucrează. Pentru utilizatorii de zi cu zi, cei mai eficienți pași sunt în controlul tău: verifică permisiunile aplicațiilor, resetează sau dezactivează ID-ul tău de publicitate, ajustează setările de confidențialitate din aplicații și folosește un VPN doar pentru ceea ce face bine. Rezervă zece minute săptămâna aceasta pentru a trece prin aplicațiile de pe telefon, începând cu cele care dețin cele mai multe informații personale.